Fără să am nici o idee despre cum vor arăta normele de audit pentru NIS2, fac un exercițiu/exemplu. (ca de obicei, fără pretenții de completitudine). Cum lucrează deci auditorul (sau cum ar trebui…..) astfel încît munca să fie ”audit” și nu altceva. Pentru că CyFun folosește o separare pentru „Scor documentație” și ”Scor implementare”, putem…
Pe parcursul acestui an am descoperit pe internet o categorie nouă de magie profesională: „experți” care au constatat că, dacă introduci suficiente cuvinte precum „ISO 27001”, „risk assessment”, „control effectiveness” și „executive summary” într-un prompt, la final iese ceva care seamănă surprinzător de mult cu un audit. Uneori chiar arată foarte bine: are structură, matrice…
Chiar dacă mai durează pînă se vor audita entitățile conform noilor cerințe NIS 2, organizațiile trebuie să știe cum să se pregătească. Au chiar obligația de a-și face propria evaluare a maturității. Am scris de mai multe ori despre importanța BIA și că de fapt este ”coloana vertebrală” peste care se construiește corect un program…
Predau, scriu și practic auditul sistemelor informaționale de peste 25 de ani. Pe baza acestor experințe pot afirma fără teamă: auditul sistemelor informaționale, așa cum este (încă) explicat în manuale (de la cele academice la CISA Review Manual) a murit. Auditul nu mai este o fotografie din trecut a sistemului informațional al unei organizații. Sau…
Am început acest blog în urmă cu peste 15 ani scriind despre domeniul auditului și guvernării IT (”guvernanță” este o traducere greșită a lui ”governance”). Timpul mi-a demonstrat că, la nivel de decizie, auditul a rămas în bună măsură tot neînțeles. Auditul, așa cum am mai scris, oferă asigurări iar acestea sînt rezonabile și nu…
